FFIEC IT 审查手册合规性

"与技术服务提供商（TSP）建立明确界定的关系对业务复原力至关重要。金融机构的第三方管理计划应以风险为重点，并提供与外包安排所带来的风险水平相称的监督和控制。为确保业务复原力，该计划应包括对金融机构持续运营至关重要的外包活动"。

"作为尽职调查的一部分，金融机构应评估 TSP 业务连续性计划的有效性，特别强调恢复能力和容量。此外，金融机构还应了解 TSP 对其分包商和服务提供商采用的尽职调查流程。此外，金融机构还应审查 TSP 的 BCP 计划及其与金融机构自身计划的一致性，包括评估 TSP 的 BCP 测试策略和结果，以确保它们符合金融机构的要求并提高恢复能力。

"审计权：协议应规定金融机构或其代表有权审计 TSP 和/或获取审计报告。金融机构应审查涉及 TSP 的恢复能力和相互依赖关系（如分包商）、业务连续性计划测试和补救工作的现有审计报告，并评估对金融机构业务连续性计划的影响（如有）"。

"有效的持续监测有助于金融机构确保外包技术服务的复原力。金融机构应通过审查服务提供商业务连续性计划测试活动、独立和/或第三方评估，定期深入评估技术服务提供商的控制环境，包括业务连续性计划，以评估对金融机构业务复原力的潜在影响。金融机构应确保将此类审查的结果记录在案，并由技术服务提供商向适当的管理监督委员会或董事会报告，并用于确定对金融机构的业务连续性计划以及服务提供商合同（如有必要）进行的任何必要修改"。

"网络威胁将继续挑战业务连续性准备工作。金融机构和 TSP 应始终关注新出现的网络威胁和情况，并考虑其对业务恢复能力的潜在影响。由于各类网络事件的影响各不相同，因此做好准备是预防或减轻此类事件影响的关键。

"管理層應核查第三方服務供應商是否實施和維持足以適當減低風險的監控措施。机构的合同应做到以下几点：

包括最低控制和报告标准
规定在外部和内部环境发生变化时有权要求修改标准
明确规定机构或独立审计师可接触服务提供商，根据信息安全标准对服务提供商的表现进行评估"。